aké sú dôsledky, ak nenahlásim únik údajov Úradu

Nehlásenie môže mať následky, ktoré presahujú ďaleko za samotnú bezpečnostnú nehodu

Kto nehlási povinné hlásenie bezpečnostnej nehody s osobnými údajmi príslušnému dozornému orgánu, riskuje, že tento dozorný orgán sa o tom dozvie sám a podnikne kroky na základe článku 33 nariadenia GDPR, ktorý upravuje povinnosť hlásenia v lehote v ňom uvedenej. Úrad na ochranu osobných údajov a ostatné európske dozorné orgány majú právomoc vykonávať vyšetrovania, klásť otázky a v prípade zistenia porušenia uložiť sankciu. Zistenie, že bezpečnostná nehoda bola nehlásená, často vyjde najavo práve tým, že dotknutá osoba si sama sťažnosť, že údaje sa objavia inde, alebo tým, že spracovateľ alebo dodávateľ bezpečnostnú nehodu hlási a dozorný orgán sa ďalej opýta — pozri tiež čo robiť, keď dodávateľ hlási bezpečnostnú nehodu s údajmi.

Okrem rizika pri dozornom orgáne tu hrá úlohu aj niečo ďalšie: nehlásenie bezpečnostnej nehody je oddelené od otázky, či musia byť informované osoby, ktorých údaje sa týkajú. Táto povinnosť vyplýva z článku 34 nariadenia GDPR a môže trvať aj v prípade, že hlásenie dozornému orgánu bolo vynechané — so všetkými škodami na reputácii a stratou dôvery, ktorá sa môže objaviť, keď sa to neskôr vyjav. Aj bezpečnostná nehoda, ktorá nie je povinne hlásená, by mala zostať zaznamenaná v osobnom registri; pozri prečo by sa mali zaznamenávať aj nehlásené bezpečnostné nehody s údajmi.

Čo o tom hovoria pravidlá

Povinnosť hlásenia je uvedená v článku 33 nariadenia GDPR a táto povinnosť platí priamo v každom členskom štáte EÚ. To, kde sa hlásenie dostane, sa líši podľa krajiny: v Holandsku je to Úrad na ochranu osobných údajov, v iných členských štátoch je to národný dozorný orgán tej krajiny — EDPB vedie zoznam týchto dozorných orgánov a zverejňuje pokyny na výklad povinnosti hlásenia. Presné podrobnosti o tom, kedy sa niečo musí alebo nemusí hlásať, sú popísané na stránke o zisťovaní, či sa bezpečnostná nehoda s údajmi musí hlásať.